arXiv 2608.03844
MAFIA：针对带审计 LLM Agent 的查询式记忆投毒攻击
研究者提出 MAFIA，一种针对带记忆 LLM Agent 的查询式记忆攻击框架，通过探测与事实注入绕过输入审计。该方法包含两部分：一是通过记忆探测、预算分配和调度保证注入记录在检索中具有竞争力。
- arXiv
- 2608.03844
- 发表
- arXiv 2508.03696
PLA：针对文生图模型的黑盒提示词学习攻击
研究者提出提示词学习攻击框架 PLA，用于在无法获取模型架构与参数的黑盒条件下绕过文生图模型的安全机制。此前方法多依赖词替换搜索对抗提示词，受限于搜索空间，效果不如基于梯度的训练。
- arXiv
- 2508.03696
- 发表
- arXiv 2608.15445
研究测量位置混淆优化下的奖励作弊与推理-答案解耦
论文将奖励作弊视为测量问题：当奖励在训练样本上正确却与多个目标一致时，模型可能学到非预期目标。
- arXiv
- 2608.15445
- 发表
- arXiv 2501.16534
研究者提出提取对齐 LLM 安全分类器的越狱攻击方法
研究者提出一种新的越狱攻击技术，通过从 LLM 的部分架构中构建候选分类器，提取其内部安全分类器的近似替代模型。
- arXiv
- 2501.16534
- 发表
- arXiv 2606.06244
研究者提出 Ghostwriter 攻击：用伪造证据注入操纵 LLM 观点
研究者提出 Ghostwriter 两阶段攻击框架，先把误导性陈述包装成带有可信标记的伪造理由，再指示目标 LLM 在回答相关问题时采纳这些观点。
- arXiv
- 2606.06244
- 发表
- arXiv 2503.02174
研究者提出对抗分词攻击，可在不改文本的情况下绕过 LLM 安全限制
论文提出对抗分词（adversarial tokenization）攻击：同一字符串存在指数级多种分词方式，而 LLM 训练和推理通常只采用其中一种，例如 Llama3 将 penguin 分为 [p,enguin]，而 [peng,uin] 同样合法。
- arXiv
- 2503.02174
- 发表
- arXiv 2602.11167
通过内部状态分析与聚类可视化并评测 LLM 事实幻觉倾向
研究者提出 FalseCite 数据集，用误导性或伪造引用诱发大语言模型的幻觉回答，并据此对 GPT-4o-mini、Falcon-7B 和 Mistral 7-B 进行评测，发现带欺骗性引用的虚假主张会明显加剧幻觉活动，GPT-4o-mini 尤为突出。
- arXiv
- 2602.11167
- 发表
- arXiv 2511.10692
StyleBreak：利用风格化音频越狱揭示大型音频语言模型的对齐漏洞
研究者提出 StyleBreak，一个风格感知的音频越狱框架，系统考察人类语音属性如何影响大型音频语言模型（LAM）的对齐稳健性。
- arXiv
- 2511.10692
- 发表
- arXiv 2604.24983
PEO：直接优化原始提示词嵌入的 LLM 白盒越狱方法
研究者提出 Prompt Embedding Optimization（PEO），一种多轮白盒越狱方法，直接优化原始提示词 token 的嵌入向量，而不追加任何对抗 token。
- arXiv
- 2604.24983
- 发表
- arXiv 2511.13892
论文提出利用图像排版操纵与多轮提示越狱智能交通系统中的 LVLM
论文系统分析了集成在智能交通系统（ITS）中的大型视觉语言模型（LVLM）在越狱攻击下的脆弱性。
- arXiv
- 2511.13892
- 发表
- arXiv 2604.28157
FlashRT：面向长上下文 LLM 提示注入与知识投毒的高效红队框架
研究者提出 FlashRT 框架，用于提升长上下文 LLM 下基于优化的提示注入与知识投毒攻击的效率，同时降低计算和 GPU 显存开销。
- arXiv
- 2604.28157
- 发表
- arXiv 2504.01094
研究者提出 Multi-AudioJail
研究者提出 Multi-AudioJail，这是首个系统利用多语言与多口音音频越狱漏洞的框架，包含一个对抗性扰动的多语言、多口音音频越狱提示词数据集，以及一套分层评测流程。
- arXiv
- 2504.01094
- 发表
- arXiv 2605.20519
CodecAttack：在音频编解码器潜空间构造对抗扰动，绕过有损压缩防御
研究者提出 CodecAttack，把对抗扰动优化在 EnCodec 连续潜空间而非波形域，使攻击能在 Opus 等有损压缩后存活。
- arXiv
- 2605.20519
- 发表
- arXiv 2512.05853
VRSA：通过视觉推理序列攻击越狱多模态大模型
研究者提出视觉推理序列攻击（VRSA），将原始有害文本拆解为若干顺序相关的子图像，诱导多模态大模型逐步外化并聚合出完整有害意图。
- arXiv
- 2512.05853
- 发表
- arXiv 2601.23255
研究者提出音频叙事越狱攻击
研究者设计了一种文本转音频的越狱方法，把被禁止的指令嵌入叙事风格的音频流中，利用先进指令跟随 TTS 模型的结构与声学特性绕过主要针对文本校准的安全机制。
- arXiv
- 2601.23255
- 发表
- arXiv 2505.23266
AdvOF：用对抗物体融合攻击 VLM 驱动的视觉语言导航智能体
研究者提出对抗物体融合（AdvOF），一种针对视觉语言导航（VLN）智能体的攻击框架，通过生成对抗性 3D 物体攻击其基于 VLM 的感知模块。
- arXiv
- 2505.23266
- 发表
- arXiv 2605.07399
研究者提出 GPO-V，用全局概率优化越狱扩散视觉语言模型
研究者提出 GPO-V，一个针对扩散视觉语言模型（dVLMs）的视觉模态越狱框架，通过全局概率优化（GPO）操纵掩码扩散模型的去噪轨迹绕过护栏。
- arXiv
- 2605.07399
- 发表
- arXiv 2512.03992
DIQ-H 基准与 VGIR 框架：评估 VLM 在对抗视觉条件下的鲁棒性
研究者提出 DIQ-H 基准，首次在连续序列中评估 VLM 在对抗视觉条件下的表现，模拟运动模糊、传感器噪声和压缩伪影，衡量这些损坏如何导致持续错误与价值不一致。
- arXiv
- 2512.03992
- 发表
- arXiv 2603.09246
研究者提出 Reasoning-Oriented Programming，通过链式语义片段越狱大型视觉语言模型
研究者提出一种名为 Reasoning-Oriented Programming 的攻击范式，将越狱类比为系统安全中的 Return-Oriented Programming，利用模型的指令跟随能力把多个语义正交的良性输入组合起来，使有害逻辑只在推理后期才浮现，从而绕过感知层面的安全对齐。
- arXiv
- 2603.09246
- 发表
- arXiv 2509.22067
论文：激活引导可破坏 LLM 安全对齐，20 个随机向量即可构造通用越狱攻击
论文《The Rogue Scalpel》发现，激活引导（activation steering）会系统性破坏大语言模型的安全对齐。
- arXiv
- 2509.22067
- 发表